クラウドがソフトウェア開発にもたらすリスク【前編】

クラウドセキュリティのリスク増大を招くSaaS／PaaSの利用

パブリッククラウド上でソフトウェア開発する際も、セキュリティに関して第一義的な責任を負うのは企業自身であることを認識しなければならない。SaaS／PaaS利用の注意点を解説する。

公開 2012年09月28日 08時05分

更新 2012年10月19日 11時43分

著者

Jan Stafford

[TechTarget]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

　レガシーアプリケーションからパブリッククラウドサービスのPaaS（Platform as a Service）に移行したり、レガシーデータをSaaS（Software as a Service）アプリケーションに移行したりすることで得られるメリットの1つとして、新たなセキュリティサービスがある。しかしクラウドの利用は通常、企業（特に開発チーム）のセキュリティ責任を増大させるとともに、新たなリスクを招くものである。これらの責任とリスクには、あらゆる種類のパブリッククラウドに共通するものもあれば、特定のSaaSベンダーやPaaSベンダーに固有のものもある。

　PaaSとSaaSのどちらを選ぼうとも、データは企業のファイアウォールの外側に出され、「大惨事が起きる可能性が高くなる」と指摘するのは、米ソフトウェアコンサルティング企業Denim Groupのダン・コーネル社長だ。ハッカーたちはシステムの外観を損なうことよりもデータを盗むことに目を向けるようになり、その手口はますます高度かつ巧妙になってきた。

クラウドセキュリティに関する調査記事

　インフラとクラウドを専門とする米Tier1 Research（米451 Researchの1部門）のアナリスト、カール・ブルックス氏によると、共有型パブリッククラウドにデータを置くというのは、同じサービスを利用している他のユーザーに対する強い警戒心を必然的に呼び起こすという。このため、データの移行に当たっては、情報が他のユーザーに漏れるのを防止するために、どのような対策を講じているのかをベンダーに確認する必要がある。

　こういった警戒心について、米調査会社Forrester Researchのアナリスト、ジェームズ・スターテン氏は、個人のセキュリティをクラウドのセキュリティに例えて説明する。「スタジアムの観客席で特定の人を見つけるよりも、その人の家に強盗に入る方が簡単だ。同様に、ハッカーにとっては、パグリッククラウドの集団の中から特定の企業を見つけるよりも、その企業に侵入してデータを盗む方が簡単だ」と同氏は話す。これはパブリッククラウドのセキュリティを高める特質の1つだという。

　専門家によると、物理的セキュリティとネットワークセキュリティに対するパブリッククラウドベンダーの責任をSLA（Service Level Agreement：サービスレベル契約）で明確化する必要があるという。これらは、企業のコントロールがほとんど及ばない領域であるからだ。その上で、セキュリティに対して第一義的な責任を負うのは企業自身であることを認識しなければならない。ブルックス氏によると、セキュリティで最も重要なベストプラクティスは開発段階にあるという。すなわち、アプリケーションの開発と配備の全ての段階でセキュリティを作りこむということだ。

　社内での日常的なセキュリティ慣行も重要だ。「全てのポートが開いたままで、全てのIPアドレスを公開した状態であれば、企業のデータはデータセンターの中よりもクラウド内にある方が危険だ。しかしこれはクラウドの問題ではなく、その企業自身の問題だ」とスターテン氏は語る。

クラウドセキュリティに関して議論した記事

パブリッククラウドのセキュリティ対策

　コーネル氏によると、オンプレミスであれクラウドであれ、セキュリティに対する企業の姿勢に最も大きな影響力を持っているのが開発チームだという。アプリケーションの脆弱性を熟知しており、共有環境においてどの弱点が狙われる可能性が高いかを知っているからだ。

　「皮肉なことに、自動化、ITスタッフの専門化、データセンターのセキュリティシステムの成熟化などのおかげで社内開発者のセキュリティ責任が軽くなったときに、パブリッククラウドが普及した」と専門家らは指摘する。現在、クラウドの普及に伴い、QA（品質保証）チームやDevOps（開発＆運用）チームなども含む開発チームは、従来の冗長型セキュリティコードの作成や広範なセキュリティテストの必要に迫られている。

　クラウドセキュリティを実現するには、大規模なテストプロセスを作成しなければならない。「基本的に、単一テナント型Webアプリケーション向けにデザインされた標準的なエンタープライズテストは、マルチテナント型パブリッククラウド向けには不十分だ」とコーネル氏は話す。

SaaSにおけるデータとアプリケーションのセキュリティ

　SaaS型クラウドにおけるセキュリティの急所はアプリケーションアクセスだ。マルチテナント型SaaSアプリケーションを対象としたテストでは、認証と権限付与のテストを優先すべきだ。アクセスのセキュリティに対する責任は、SaaSベンダーと企業の両方にある。

　「テスト担当チームと開発チームは、ベンダーが適切なコントロールを実施しているかどうか確認しなければならない」とコーネル氏は語る。テストの権利と責任をSaaSのSLAに明記する必要もある。ブルックス氏によると、SaaSクラウドアプリケーションへのデータの移行前、移行中および移行後に双方がどのようなテストを実施するのか確認することも重要だという。

　コーネル氏によると、一部の企業では社内のチームがSaaSベンダーのセキュリティをテストする権利を規定したSLAを策定しているようだ。例えば、侵入テスターが3カ月ごとにSaaSシステムへの侵入を試み、脆弱性が見つかった場合は修正を求める権利を確保した企業もあるという。

　「SaaSベンダーはテストを実施し、欠陥を修正する責任があることをSLAに明記しなければならない」とブルックス氏は話す。文書化されていないと、脆弱性を修正させるのが難しい場合があるからだ。「こういった文書がなければ、ユーザーが不満を訴えてもベンダーが改善するとは限らない」

　幸いなことに、SaaSは成熟した技術であり、成熟したベンダーも数多く存在する。また、SaaSベンダーは大抵の企業よりもはるかに多くの予算をセキュリティに注ぎ込んでいる。

　後編「セキュリティと財務基盤は別物？　新興PaaSベンダーにまつわる不安」ではPaaSベンダーのセキュリティについて考える。

印刷する

クラウドがソフトウェア開発にもたらすリスク

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者